Cybersécurité : les clauses à exiger de son agence ou de son hébergeur

L'Agence du Numérique en Santé a publié en mars 2024 une communication consacrée au renforcement de la cybersécurité des établissements de santé. Ce secteur est particulièrement exposé et particulièrement encadré, mais les principes qu'il applique sont largement transposables : toute organisation qui confie un site, une application ou des données à un prestataire externe se retrouve dépendante du niveau de sécurité de celui-ci, sans toujours l'avoir vérifié.

Le point de départ est l'hébergement. Où sont physiquement stockées les données, dans quel pays, chez quel opérateur, et sous quel régime juridique ? Cette question n'est pas théorique : elle détermine les recours possibles et les obligations applicables. Si vous traitez des données de santé en France, un régime spécifique de certification des hébergeurs s'applique, et il vous appartient de vérifier que votre prestataire en relève effectivement plutôt que de le supposer.

Viennent ensuite les sauvegardes. Un contrat sérieux précise leur fréquence, leur durée de conservation, leur localisation, et surtout le fait qu'elles sont isolées de l'environnement de production. Une sauvegarde stockée sur le même serveur que les données n'en est pas une face à un rançongiciel. Exigez également un test de restauration documenté à intervalle régulier : une sauvegarde jamais restaurée est une hypothèse, pas une garantie.

Les mises à jour constituent l'angle mort le plus fréquent. Beaucoup de sites et d'applications reposent sur des socles logiciels dont les vulnérabilités sont publiquement documentées. Le contrat doit dire qui applique les correctifs, sur quel périmètre, dans quel délai selon la criticité, et qui vérifie que l'application a bien eu lieu. Précisez également ce qu'il advient quand une version arrive en fin de support, situation qui impose une migration planifiée et budgétée.

La gestion des accès mérite une attention particulière. Comptes nominatifs plutôt que comptes partagés, authentification à double facteur sur les interfaces d'administration, revue périodique des habilitations, retrait immédiat des accès lors du départ d'un intervenant côté prestataire comme chez vous. Demandez la liste des personnes disposant d'un accès à vos environnements et la procédure de mise à jour de cette liste ; l'absence de réponse claire est un signal fort.

La réponse à incident doit être organisée avant l'incident. Le contrat précise le canal de signalement, les horaires de couverture, un délai de prise en compte et un délai d'intervention selon la gravité, ainsi que l'obligation de vous notifier sans délai toute violation de données. Ce dernier point n'est pas seulement contractuel : en cas de violation de données personnelles, des obligations de notification s'imposent au responsable de traitement dans des délais courts, et vous ne pourrez les respecter que si votre sous-traitant vous alerte immédiatement.

Sur le plan juridique, formalisez la relation de sous-traitance sur les données personnelles. Un contrat écrit doit encadrer les traitements confiés, les finalités, les mesures de sécurité, le recours à d'éventuels sous-traitants ultérieurs, et le sort des données en fin de contrat. Vérifiez également la couverture d'assurance en responsabilité civile professionnelle du prestataire et les plafonds de responsabilité prévus, souvent limités à un multiple des sommes facturées.

Enfin, la réversibilité est une mesure de sécurité à part entière. Vous devez pouvoir récupérer vos données dans un format exploitable, vos codes sources, vos accès aux noms de domaine et aux certificats, et la documentation technique nécessaire à une reprise. Testez-le pendant la relation, pas au moment de la rupture : demandez une fois par an un export complet et vérifiez que vous savez l'exploiter sans l'aide de votre prestataire.